PHP 这次摔得不轻。两个 CVSS 满分起步的远程代码执行漏洞——CVE-2026-109618 与 CVE-2026-109619，合称 PHP2Shell。名字听着像恶作剧，后果一点也不幽默。细节提前泄露，演示视频在补丁之前就流了出来，多国政府网站干脆做了预防性下线。等到 21 日晚 10 点补丁上线，这场混乱已经跑完大半程。
把这几件事按时间排一遍，顺序整个反了。正常的漏洞披露是研究者报告、厂商修复、协调公开；PHP2Shell 走的是泄露、演示、恐慌性下线，最后才轮到补丁。作者复盘时没给谁留面子：当演示视频比官方公告更早抵达运维群，主动权就已经交了出去。21 日晚 10 点那个补丁，更像在收拾一个早已满地的现场。对还在跑旧版本 PHP 的人来说，真正的考验是接下来几周有多少人真去升级了。
更值得琢磨的是漏洞怎么被找到的。这两个洞由 GPT-5.6 Sol 辅助发现，OpenAI 同期放出了配套的检测 skill。这意味着找洞的边际成本在往下掉，防守方得假设对手也用上了同样的工具。AI 帮忙挖漏洞不算新闻，但这次是满分 RCE 级的案例，性质不同。当发现变便宜，响应速度就成了唯一分水岭。PHP2Shell 这出戏里，泄露和视频抢在了补丁前面；下一次，决定成败的可能是谁的检测 skill 跑得更快。
